freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

漏洞挖掘 | 一文详解地图API后台配置错误漏洞更新
2023-10-12 19:38:09

hello,师傅们大家好,好久没更新了,我原以为地图api这个前端漏洞已经没啥进展了,基本按之前写的文章已经很全面了,并且在文章发表后也有很多师傅报喜,用这个漏洞不管是日常渗透项目上水洞,还是挖src上都挣到钱了。也有很多师傅疯狂挖这个洞,导致好多src都以“使用的免费api接口为理由”不收了,也是干的猛。这次为啥发新的文章呢,因为这个洞有了新的研究成果,所以发布出来让师傅们小赚一笔,新研究的漏洞方案呢,没有之前那么好挖,之前的直接干fofa、hunter搜就可以了。新的挖掘方法主要偏向于调用高德地图api的微信小程序还有调用GOOGLE地图的web网站。

*该文章仅用于安全技术分享,请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责。文章作者不为此承担任何责任。*

最近看了好多前端漏洞相关的东西,也产生不少成果。发现现在cors还有jsonp之类和跨域有关的漏洞,很少师傅去挖,但是能获取到敏感信息的话,大多数src还是收取的。地图这个也属于前端组件的漏洞。如果师傅们能找到其它类似于网站经常调用的像天气、验证码、站长访问统计之类api接口深入研究的话也许会有通杀漏洞大捞一笔。

0X00回顾

1.先梳理一下地图API配置错误漏洞的发现到公开的时间线:

1697096555_6527a36bd7a2c7a0d8d7e.png!small?1697096556278

2.src漏洞收入情况:

这个漏洞价值肯定是广大师傅最关心的问题,我这边大致统计了一下,我这边挖了有1w左右,下表是每个漏洞提交到不同平台价钱个数统计,可以看到100块和50块还是比较多的。所以算是低危漏洞。当然也有几个给了高危但是比较少。1697096884_6527a4b45279927240715.png!small?1697096884615

不了解之前这个漏洞挖掘方法的白帽师傅可以看看我之前写的这篇文章:https://www.freebuf.com/articles/web/360331.html

3.其它师傅们的挖掘情况简介:

有很多师傅看了我的分享之后挖到了众测或src的相关漏洞,也有师傅催着我新的思路,但是一直没啥新的思路直到最近跟几位师傅探讨,重新翻看api文档时发现了新的思路。

1697097455_6527a6efdaea310198618.png!small?1697097456234

1697097680_6527a7d00d66b8cc4141b.png!small?1697097680332

0x01 新的思路简单说明

之前的思路主要是围绕着前端调用了高德、腾讯、百度地图的key,而这个key是需要自己去这三家注册开发者账号申请完之后会获取到key,然后给自己的业务进行使用。在正常网站管理员在默认配置的情况下这样配置是存在问题的,攻击者前端抓包获取到key值,利用官方给的api就可以给自己的业务使用,或者恶意消耗key值导致达到key当日使用上限,影响正常用户使用。后来在大家伙的挖掘下很多网站都按照官方说明配置域名白名单等限制消除了这个问题。并且高德地图jsapi进行了更新现在除了需要key值以外,增加了jscode验证。百度和腾讯地图目前还没变化,所以大家按照以前的方法对使用百度和腾讯地图的api的业务可以照常挖掘。这次重心主要在之前没有研究出来的google api调用payload和新的高德js api利用的挖掘上。那我们如何在高德地图存在jscode的情况下进行挖掘呢。

本文作者:, 转载请注明来自FreeBuf.COM

# 渗透测试 # web安全 # 漏洞分析
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录